在同一台服务器或另一台服务器上执行 JavaScript 代码的安全方式？

Question

我有一个网站建设者，它允许用户拖放HTML块（img，div，等...）到页面中。他们可以保存它。保存后，他们可以查看该页面。我还允许自定义代码，如 JavaScript。将他们的页面显示在子域 (mypage.example.com) 上的另一台服务器上是否安全，但仍然从与主服务器相同的数据库中获取，或者将其与主服务器放在同一台服务器上是否无关紧要？服务器？据我所知，它们不能执行任何 PHP 代码，因为我将echo用于显示页面内容。感谢帮助！

Answer 1

这取决于您的设置。如果您允许他们运行自定义 JavaScript，他们可能会窃取其他用户的会话令牌，这些令牌可用于窃取其他帐户。我建议阅读有关 XSS (Cross-Site-Scripting) 的文章。

简而言之：XSS 是将代码注入站点的漏洞，该站点将在其他人的计算机上运行。

在这一点上给你一个关于如何做到这一点的严格教程是没有意义的，因为每个系统都是不同的，需要不同的配置来抵抗攻击。

让用户把代码放在某个地方总是有风险的！

Answer 2

不需要另一台服务器，但您确实需要另一个域来防止主页上的跨站点脚本攻击。不，一个子域可能还不够，为了安全起见，将它完全放在另一个域上。（幸运的是，如果您对域名没问题，可以免费获得.tk域名）

将他们的页面显示在子域的另一台服务器上是否安全

即使是子域也可能是危险的，只需将其完全放在另一个域中，您就会安全。

或者把它和主服务器放在同一台服务器上没有关系吗？

你可以在同一台服务器上使用它。顺便说一句，您是否知道共享虚拟主机服务（如 GoDaddy、hostgator 等）有数千个网站共享一个物理服务器？

• 另外，不要听人们说您需要清理或过滤 HTML，那不是真的。在我看来，没有必要过滤掉任何数据损坏的东西。不要对您的用户这样做，没有必要这样做。（至少我想不出）

据我所知，他们无法执行任何 PHP 代码，因为我将使用 echo 来显示页面内容。

正确的。如果你在做include("file");或者eval($code);他们可以执行服务器端代码，但只要你在做echo $code;，他们就无法执行服务器端代码，这不是安全问题。